v1.83.6 SBOM
Released 2026-05-29. Graph-engine code-review pass. Blast-radius verdicts (Confirmed Compromised, Potentially Compromised, Observed Accessed) had been shipping with empty evidence_refs since the graph engine landed: GraphBuilder populated the field on edges, but the traverser was reading it off nodes, so every verdict cited no underlying evidence. Refs are now threaded from the BFS path edges and qualifying in-edges so each verdict ships with the evidence rows that drove it. Floored attack-path endpoints (introduced in 1.83.5) were persisted carrying the stale 'No audit logs available' coverage note from their prior UNKNOWN state, contradicting the new verdict in the UI; the note is now cleared on promotion. Blast-radius seed mapping had been calling the entity resolver's mutating resolve() path, silently minting a junk 'blast_radius_seed'-sourced entity for every unmatched seed string and inflating the per-investigation entity store every analysis run; switched to a new read-only EntityResolver.lookup_identifier. Internal cleanup: removed three dead EdgeType enum members (CAN_ACCESS, DELEGATED_TO, TRUSTS) that no GraphBuilder code path ever emitted, deleted the unused EntityType enum, halved the graph-persist SQL on every analysis (was DELETE+INSERT twice; now once at the end of the blast-radius block), and built the lowercase node-id index once and reused it across the three seed batches. No schema migrations. Backend and frontend dependency trees unchanged from 1.83.5.
Download the raw CycloneDX JSON: backend (174 deps) • frontend (231 deps)
Format: CycloneDX 1.6. Each row below corresponds to a single entry in the JSON; the JSON is canonical, this table is a convenience view.
Backend (Python)
174 components.
| Package | Version | License |
|---|---|---|
| aiofiles | 25.1.0 | — |
| aiohappyeyeballs | 2.6.1 | — |
| aiohttp | 3.13.5 | — |
| aioresponses | 0.7.8 | — |
| aiosignal | 1.4.0 | — |
| aiosqlite | 0.22.1 | — |
| annotated-doc | 0.0.4 | — |
| annotated-types | 0.7.0 | — |
| anthropic | 0.97.0 | — |
| anyio | 4.13.0 | — |
| arabic-reshaper | 3.0.1 | — |
| asn1crypto | 1.5.1 | — |
| attrs | 26.1.0 | — |
| authlib | 1.7.2 | — |
| bcrypt | 5.0.0 | — |
| bidict | 0.23.1 | — |
| blinker | 1.9.0 | — |
| blis | 1.3.3 | — |
| brotli | 1.2.0 | — |
| catalogue | 2.0.10 | — |
| certifi | 2026.4.22 | — |
| cffi | 2.0.0 | — |
| charset-normalizer | 3.4.7 | — |
| click | 8.3.3 | — |
| cloudpathlib | 0.24.0 | — |
| confection | 1.3.3 | — |
| configargparse | 1.7.5 | — |
| contourpy | 1.3.3 | — |
| coverage | 7.13.5 | — |
| cryptography | 47.0.0 | — |
| cssselect2 | 0.9.0 | — |
| cycler | 0.12.1 | — |
| cymem | 2.0.13 | — |
| defusedxml | 0.7.1 | — |
| distro | 1.9.0 | — |
| docstring-parser | 0.18.0 | — |
| dpkt | 1.9.8 | — |
| evtx | 0.11.0 | — |
| fastapi | 0.136.1 | — |
| filelock | 3.29.0 | — |
| flask | 3.1.3 | — |
| flask-cors | 6.0.2 | — |
| flask-login | 0.6.3 | — |
| fonttools | 4.62.1 | — |
| freetype-py | 2.5.1 | — |
| frozenlist | 1.8.0 | — |
| geographiclib | 2.1 | — |
| geopy | 2.4.1 | — |
| gevent | 25.9.1 | — |
| geventhttpclient | 2.3.9 | — |
| google-auth | 2.50.0 | — |
| google-genai | 1.74.0 | — |
| greenlet | 3.5.0 | — |
| h11 | 0.16.0 | — |
| html5lib | 1.1 | — |
| httpcore | 1.0.9 | — |
| httptools | 0.7.1 | — |
| httpx | 0.28.1 | — |
| idna | 3.13 | — |
| iniconfig | 2.3.0 | — |
| isodate | 0.7.2 | — |
| itsdangerous | 2.2.0 | — |
| jinja2 | 3.1.6 | — |
| jiter | 0.14.0 | — |
| joserfc | 1.6.5 | — |
| kiwisolver | 1.5.0 | — |
| ldap3 | 2.9.1 | — |
| locust | 2.43.4 | — |
| lxml | 6.1.0 | — |
| markdown-it-py | 4.0.0 | — |
| markupsafe | 3.0.3 | — |
| matplotlib | 3.10.9 | — |
| mdurl | 0.1.2 | — |
| msgpack | 1.1.2 | — |
| multidict | 6.7.1 | — |
| murmurhash | 1.0.15 | — |
| networkx | 3.6.1 | — |
| numpy | 2.4.4 | — |
| ollama | 0.6.2 | — |
| openai | 2.33.0 | — |
| oscrypto | 1.3.0 | — |
| packaging | 26.2 | — |
| phonenumbers | 9.0.29 | — |
| pillow | 12.2.0 | — |
| pluggy | 1.6.0 | — |
| preshed | 3.0.13 | — |
| presidio-analyzer | 2.2.362 | — |
| propcache | 0.4.1 | — |
| psutil | 7.2.2 | — |
| pyasn1 | 0.6.3 | — |
| pyasn1-modules | 0.4.2 | — |
| pycairo | 1.29.0 | — |
| pycparser | 3.0 | — |
| pydantic | 2.13.3 | — |
| pydantic-core | 2.46.3 | — |
| pydantic-settings | 2.14.0 | — |
| pydyf | 0.12.1 | — |
| pygments | 2.20.0 | — |
| pyhanko | 0.34.1 | — |
| pyhanko-certvalidator | 0.30.2 | — |
| pyjwt | 2.12.1 | — |
| pyotp | 2.9.0 | — |
| pyparsing | 3.3.2 | — |
| pypdf | 6.10.2 | — |
| pyphen | 0.17.2 | — |
| pyspnego | 0.12.1 | — |
| pytest | 9.0.3 | — |
| pytest-asyncio | 1.3.0 | — |
| pytest-cov | 7.1.0 | — |
| pytest-timeout | 2.4.0 | — |
| python-bidi | 0.6.7 | — |
| python-dateutil | 2.9.0.post0 | — |
| python-docx | 1.2.0 | — |
| python-dotenv | 1.2.2 | — |
| python-engineio | 4.13.1 | — |
| python-multipart | 0.0.27 | — |
| python-socketio | 5.16.1 | — |
| python3-saml | 1.16.0 | — |
| pywinrm | 0.5.0 | — |
| pyyaml | 6.0.3 | — |
| pyzmq | 27.1.0 | — |
| regex | 2026.4.4 | — |
| reportlab | 4.5.0 | — |
| requests | 2.33.1 | — |
| requests-file | 3.0.1 | — |
| requests-ntlm | 1.3.0 | — |
| rich | 15.0.0 | — |
| rlpycairo | 0.4.0 | — |
| ruff | 0.15.12 | — |
| setuptools | 82.0.1 | — |
| shellingham | 1.5.4 | — |
| simple-websocket | 1.1.0 | — |
| six | 1.17.0 | — |
| smart-open | 7.6.0 | — |
| smbprotocol | 1.16.1 | — |
| sniffio | 1.3.1 | — |
| spacy | 3.8.14 | — |
| spacy-legacy | 3.0.12 | — |
| spacy-loggers | 1.0.5 | — |
| srsly | 2.5.3 | — |
| starlette | 1.0.0 | — |
| svglib | 1.6.0 | — |
| tenacity | 9.1.4 | — |
| thinc | 8.3.13 | — |
| tiktoken | 0.12.0 | — |
| tinycss2 | 1.5.1 | — |
| tinyhtml5 | 2.1.0 | — |
| tldextract | 5.3.1 | — |
| tqdm | 4.67.3 | — |
| typer | 0.25.1 | — |
| typing-extensions | 4.15.0 | — |
| typing-inspection | 0.4.2 | — |
| tzlocal | 5.3.1 | — |
| uritools | 6.1.0 | — |
| urllib3 | 2.6.3 | — |
| uvicorn | 0.46.0 | — |
| uvloop | 0.22.1 | — |
| wasabi | 1.1.3 | — |
| watchfiles | 1.1.1 | — |
| weasel | 1.0.0 | — |
| weasyprint | 68.1 | — |
| webencodings | 0.5.1 | — |
| websocket-client | 1.9.0 | — |
| websockets | 16.0 | — |
| werkzeug | 3.1.8 | — |
| wrapt | 2.1.2 | — |
| wsproto | 1.3.2 | — |
| xhtml2pdf | 0.2.17 | — |
| xmlsec | 1.3.17 | — |
| xmltodict | 1.0.4 | — |
| yarl | 1.23.0 | — |
| zope-event | 6.2 | — |
| zope-interface | 8.4 | — |
| zopfli | 0.4.1 | — |
Frontend (Node)
231 components.
| Package | Version | License |
|---|---|---|
| asynckit | 0.4.0 | MIT |
| axios | 1.16.0 | MIT |
| bail | 2.0.2 | MIT |
| call-bind-apply-helpers | 1.0.2 | MIT |
| ccount | 2.0.1 | MIT |
| character-entities | 2.0.2 | MIT |
| character-entities-html4 | 2.1.0 | MIT |
| character-entities-legacy | 3.0.0 | MIT |
| character-reference-invalid | 2.0.1 | MIT |
| combined-stream | 1.0.8 | MIT |
| comma-separated-tokens | 2.0.3 | MIT |
| commander | 7.2.0 | MIT |
| core-util-is | 1.0.3 | MIT |
| csstype | 3.2.3 | MIT |
| d3 | 7.4.3 | MIT |
| d3 | 7.9.0 | ISC |
| d3-array | 3.2.2 | MIT |
| d3-array | 3.2.4 | ISC |
| d3-axis | 3.0.6 | MIT |
| d3-axis | 3.0.0 | ISC |
| d3-brush | 3.0.6 | MIT |
| d3-brush | 3.0.0 | ISC |
| d3-chord | 3.0.6 | MIT |
| d3-chord | 3.0.1 | ISC |
| d3-color | 3.1.3 | MIT |
| d3-color | 3.1.0 | ISC |
| d3-contour | 3.0.6 | MIT |
| d3-contour | 4.0.2 | ISC |
| d3-delaunay | 6.0.4 | MIT |
| d3-delaunay | 6.0.4 | ISC |
| d3-dispatch | 3.0.7 | MIT |
| d3-dispatch | 3.0.1 | ISC |
| d3-drag | 3.0.7 | MIT |
| d3-drag | 3.0.0 | ISC |
| d3-dsv | 3.0.7 | MIT |
| d3-dsv | 3.0.1 | ISC |
| d3-ease | 3.0.2 | MIT |
| d3-ease | 3.0.1 | BSD-3-Clause |
| d3-fetch | 3.0.7 | MIT |
| d3-fetch | 3.0.1 | ISC |
| d3-force | 3.0.10 | MIT |
| d3-force | 3.0.0 | ISC |
| d3-format | 3.0.4 | MIT |
| d3-format | 3.1.2 | ISC |
| d3-geo | 3.1.0 | MIT |
| d3-geo | 3.1.1 | ISC |
| d3-hierarchy | 3.1.7 | MIT |
| d3-hierarchy | 3.1.2 | ISC |
| d3-interpolate | 3.0.4 | MIT |
| d3-interpolate | 3.0.1 | ISC |
| d3-path | 3.1.1 | MIT |
| d3-path | 3.1.0 | ISC |
| d3-polygon | 3.0.2 | MIT |
| d3-polygon | 3.0.1 | ISC |
| d3-quadtree | 3.0.6 | MIT |
| d3-quadtree | 3.0.1 | ISC |
| d3-random | 3.0.3 | MIT |
| d3-random | 3.0.1 | ISC |
| d3-scale | 4.0.9 | MIT |
| d3-scale | 4.0.2 | ISC |
| d3-scale-chromatic | 3.1.0 | MIT |
| d3-scale-chromatic | 3.1.0 | ISC |
| d3-selection | 3.0.11 | MIT |
| d3-selection | 3.0.0 | ISC |
| d3-shape | 3.1.8 | MIT |
| d3-shape | 3.2.0 | ISC |
| d3-time | 3.0.4 | MIT |
| d3-time | 3.1.0 | ISC |
| d3-time-format | 4.0.3 | MIT |
| d3-time-format | 4.1.0 | ISC |
| d3-timer | 3.0.2 | MIT |
| d3-timer | 3.0.1 | ISC |
| d3-transition | 3.0.9 | MIT |
| d3-transition | 3.0.1 | ISC |
| d3-zoom | 3.0.8 | MIT |
| d3-zoom | 3.0.0 | ISC |
| debug | 4.1.13 | MIT |
| debug | 4.4.3 | MIT |
| decode-named-character-reference | 1.3.0 | MIT |
| delaunator | 5.1.0 | ISC |
| delayed-stream | 1.0.0 | MIT |
| dequal | 2.0.3 | MIT |
| devlop | 1.1.0 | MIT |
| dunder-proto | 1.0.1 | MIT |
| es-define-property | 1.0.1 | MIT |
| es-errors | 1.3.0 | MIT |
| es-object-atoms | 1.1.1 | MIT |
| es-set-tostringtag | 2.1.0 | MIT |
| estree | 1.0.8 | MIT |
| estree-jsx | 1.0.5 | MIT |
| estree-util-is-identifier-name | 3.0.0 | MIT |
| extend | 3.0.2 | MIT |
| fault | 1.0.4 | MIT |
| follow-redirects | 1.16.0 | MIT |
| form-data | 4.0.5 | MIT |
| format | 0.2.2 | MIT |
| function-bind | 1.1.2 | MIT |
| geojson | 7946.0.16 | MIT |
| get-intrinsic | 1.3.0 | MIT |
| get-proto | 1.0.1 | MIT |
| gopd | 1.2.0 | MIT |
| has-symbols | 1.1.0 | MIT |
| has-tostringtag | 1.0.2 | MIT |
| hasown | 2.0.3 | MIT |
| hast | 3.0.4 | MIT |
| hast-util-parse-selector | 2.2.5 | MIT |
| hast-util-to-jsx-runtime | 2.3.6 | MIT |
| hast-util-whitespace | 3.0.0 | MIT |
| hastscript | 6.0.0 | MIT |
| highlight.js | 10.7.3 | BSD-3-Clause |
| highlightjs-vue | 1.0.0 | CC0-1.0 |
| html-url-attributes | 3.0.1 | MIT |
| iconv-lite | 0.6.3 | MIT |
| immediate | 3.0.6 | MIT |
| inherits | 2.0.4 | ISC |
| inline-style-parser | 0.2.7 | MIT |
| internmap | 2.0.3 | ISC |
| is-alphabetical | 2.0.1 | MIT |
| is-alphanumerical | 2.0.1 | MIT |
| is-decimal | 2.0.1 | MIT |
| is-hexadecimal | 2.0.1 | MIT |
| is-plain-obj | 4.1.0 | MIT |
| isarray | 1.0.0 | MIT |
| js-tokens | 4.0.0 | MIT |
| jszip | 3.10.1 | (MIT OR GPL-3.0-or-later) |
| lie | 3.3.0 | MIT |
| longest-streak | 3.1.0 | MIT |
| loose-envify | 1.4.0 | MIT |
| lowlight | 1.20.0 | MIT |
| lucide-react | 0.330.0 | ISC |
| markdown-table | 3.0.4 | MIT |
| math-intrinsics | 1.1.0 | MIT |
| mdast | 4.0.4 | MIT |
| mdast-util-find-and-replace | 3.0.2 | MIT |
| mdast-util-from-markdown | 2.0.3 | MIT |
| mdast-util-gfm | 3.1.0 | MIT |
| mdast-util-gfm-autolink-literal | 2.0.1 | MIT |
| mdast-util-gfm-footnote | 2.1.0 | MIT |
| mdast-util-gfm-strikethrough | 2.0.0 | MIT |
| mdast-util-gfm-table | 2.0.0 | MIT |
| mdast-util-gfm-task-list-item | 2.0.0 | MIT |
| mdast-util-mdx-expression | 2.0.1 | MIT |
| mdast-util-mdx-jsx | 3.2.0 | MIT |
| mdast-util-mdxjs-esm | 2.0.1 | MIT |
| mdast-util-phrasing | 4.1.0 | MIT |
| mdast-util-to-hast | 13.2.1 | MIT |
| mdast-util-to-markdown | 2.1.2 | MIT |
| mdast-util-to-string | 4.0.0 | MIT |
| micromark | 4.0.2 | MIT |
| micromark-core-commonmark | 2.0.3 | MIT |
| micromark-extension-gfm | 3.0.0 | MIT |
| micromark-extension-gfm-autolink-literal | 2.1.0 | MIT |
| micromark-extension-gfm-footnote | 2.1.0 | MIT |
| micromark-extension-gfm-strikethrough | 2.1.0 | MIT |
| micromark-extension-gfm-table | 2.1.1 | MIT |
| micromark-extension-gfm-tagfilter | 2.0.0 | MIT |
| micromark-extension-gfm-task-list-item | 2.1.0 | MIT |
| micromark-factory-destination | 2.0.1 | MIT |
| micromark-factory-label | 2.0.1 | MIT |
| micromark-factory-space | 2.0.1 | MIT |
| micromark-factory-title | 2.0.1 | MIT |
| micromark-factory-whitespace | 2.0.1 | MIT |
| micromark-util-character | 2.1.1 | MIT |
| micromark-util-chunked | 2.0.1 | MIT |
| micromark-util-classify-character | 2.0.1 | MIT |
| micromark-util-combine-extensions | 2.0.1 | MIT |
| micromark-util-decode-numeric-character-reference | 2.0.2 | MIT |
| micromark-util-decode-string | 2.0.1 | MIT |
| micromark-util-encode | 2.0.1 | MIT |
| micromark-util-html-tag-name | 2.0.1 | MIT |
| micromark-util-normalize-identifier | 2.0.1 | MIT |
| micromark-util-resolve-all | 2.0.1 | MIT |
| micromark-util-sanitize-uri | 2.0.1 | MIT |
| micromark-util-subtokenize | 2.1.0 | MIT |
| micromark-util-symbol | 2.0.1 | MIT |
| micromark-util-types | 2.0.2 | MIT |
| mime-db | 1.52.0 | MIT |
| mime-types | 2.1.35 | MIT |
| ms | 2.1.0 | MIT |
| ms | 2.1.3 | MIT |
| pako | 1.0.11 | (MIT AND Zlib) |
| parse-entities | 4.0.2 | MIT |
| prismjs | 1.30.0 | MIT |
| process-nextick-args | 2.0.1 | MIT |
| prop-types | 15.7.15 | MIT |
| property-information | 7.1.0 | MIT |
| proxy-from-env | 2.1.0 | MIT |
| qrcode.react | 4.2.0 | ISC |
| react | 18.3.1 | MIT |
| react | 18.3.28 | MIT |
| react-dom | 18.3.1 | MIT |
| react-markdown | 10.1.0 | MIT |
| react-router | 6.30.3 | MIT |
| react-router-dom | 6.30.3 | MIT |
| react-syntax-highlighter | 15.6.6 | MIT |
| readable-stream | 2.3.8 | MIT |
| refractor | 3.6.0 | MIT |
| remark-gfm | 4.0.1 | MIT |
| remark-parse | 11.0.0 | MIT |
| remark-rehype | 11.1.2 | MIT |
| remark-stringify | 11.0.0 | MIT |
| robust-predicates | 3.0.3 | Unlicense |
| router | 1.23.2 | MIT |
| runtime | 7.29.2 | MIT |
| rw | 1.3.3 | BSD-3-Clause |
| safe-buffer | 5.1.2 | MIT |
| safer-buffer | 2.1.2 | MIT |
| scheduler | 0.23.2 | MIT |
| setimmediate | 1.0.5 | MIT |
| space-separated-tokens | 2.0.2 | MIT |
| string_decoder | 1.1.1 | MIT |
| stringify-entities | 4.0.4 | MIT |
| structured-clone | 1.3.1 | ISC |
| style-to-js | 1.1.21 | MIT |
| style-to-object | 1.0.14 | MIT |
| trim-lines | 3.0.1 | MIT |
| trough | 2.2.0 | MIT |
| unified | 11.0.5 | MIT |
| unist | 3.0.3 | MIT |
| unist-util-is | 6.0.1 | MIT |
| unist-util-position | 5.0.0 | MIT |
| unist-util-stringify-position | 4.0.0 | MIT |
| unist-util-visit | 5.1.0 | MIT |
| unist-util-visit-parents | 6.0.2 | MIT |
| use-sync-external-store | 1.6.0 | MIT |
| util-deprecate | 1.0.2 | MIT |
| vfile | 6.0.3 | MIT |
| vfile-message | 4.0.3 | MIT |
| xtend | 4.0.2 | MIT |
| zustand | 4.5.7 | MIT |
| zwitch | 2.0.4 | MIT |